ロックアウトの解説の多くは、Active Directory（ドメイン）が前提です。ですが中小企業では、ドメインに参加しない「ワークグループ」のPCをローカルアカウントで使うのが珍しくありません。
この記事では、ADなしのPC1台ずつに「何回間違えたらロックするか」を設定する手順を扱います。
まず現在の設定を確認する
いまロックアウトが効いているかを、コマンド1つで確かめます。管理者のコマンドプロンプトで次を実行します。
net accounts
ロックアウトに関係するのは次の3項目です。
| 表示名 | 意味 |
|---|---|
| ロックアウトのしきい値 | 何回失敗したらロックするか（0はロックしない） |
| ロックアウト期間 (分) | ロックが自動で解けるまでの時間 |
| ロックアウト カウンターのリセット (分) | 失敗回数を0に戻すまでの時間 |
古いPCは0のままのことがある
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
設定方法1：ローカルセキュリティポリシー
Pro以上のエディションなら、画面から設定できます。
secpol.mscでの設定
- 1
secpol.mscを開く
Windowsキー + R で入力
- 2
ポリシーを開く
アカウント ポリシー → アカウント ロックアウトのポリシー
- 3
回数を入力
期間とリセット時間も同時に設定
同じ画面の「管理者アカウントのロックアウトを許可する」が有効だと、組み込みのAdministratorも対象になります。
Windows Home エディションには secpol.msc がありません。その場合は次のコマンドで設定します。
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
ロックアウトは、パスワードを何度も試されたときの足止めです。漏れたパスワードを使われれば1回で正しく入れるので、ロックはかかりません。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
設定方法2：net accounts コマンド
複数台に同じ値を配るなら、こちらが便利です。例は「10回失敗で15分ロック、15分で回数をリセット」です。
net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15
実行後に net accounts で反映を確認します。ドメインに参加しているPCでは、ドメインのポリシーが優先されます（Active Directoryのパスワードポリシーを確認するコマンド）。
回数と時間の決め方
厳しくしすぎると、正規の利用者の打ち間違いで業務が止まります。
- 回数を少なくしすぎない — 3回だと、打ち間違いやCaps Lockだけでロックされます。5〜10回程度が一般的です
- 期間は「待てる長さ」にする — 0（管理者が解除するまでロック）にすると、管理者不在の時間に業務が止まります
- リセット時間は期間以下にする — 期間より長くはできません
ロックアウトは、総当たりで何度も試される攻撃を止めるための設定です。攻撃の仕組みはブルートフォース攻撃で説明しています。
ロックされたときの解除
期間が過ぎれば自動で解けます。すぐ解きたいときは次の手順です。
別の管理者アカウントでサインインし、lusrmgr.msc（ローカルユーザーとグループ）で対象ユーザーのプロパティを開き、「アカウントのロックアウト」のチェックを外します。詳しくはアカウントロックアウトの解除方法、繰り返すときはロックアウトの原因を調べる方法へ。
管理者アカウントが1つだけのPCに注意
ADがないまま、Windows PCのログインに2要素認証を入れる手順はADなしでPCログインに2要素認証を入れる方法 1台からにまとめています。
普段の管理が楽になると何が変わるか
ロックアウトの設定そのものは、この記事の手順で1台ずつ行います。設定したあとに手間が残るのは、「ロックされた」と言われたときの対応です。全PC・サーバーのログイン記録を1か所で見られるようにしておくと、席まで行かずに、どのPCで誰が失敗したかを確かめられます。本人の打ち間違いか、社外のIPアドレスから試されているのかがその場で分かるので、すぐ解除してよいかを迷いません。兼任の担当者なら、PCのことで呼ばれる回数と、調べる時間の両方が減ります。
よくある質問
ADなしのPCでロックアウトを設定するには
secpol.msc のアカウント ポリシー → アカウント ロックアウトのポリシーで設定します。Home エディションでは、管理者のコマンドプロンプトで net accounts /lockoutthreshold:回数 /lockoutduration:分 /lockoutwindow:分 を実行します。
Windows 11の既定値はいくつですか
Windows 11 22H2以降の新規インストールでは、10回失敗で10分ロック、10分で失敗回数をリセットが既定です。古いバージョンから更新したPCでは、ロックしない設定のままの場合があります。
何回でロックするのが適切ですか
5〜10回程度が一般的です。少なすぎると打ち間違いでロックされ、問い合わせや業務停止が増えます。
いまの運用を棚卸ししてみる
ロックアウトの問い合わせは、パスワードを打つ場面が多いほど増えます。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年10月時点の一般的な解説です。既定値や設定項目は、Windowsのバージョン・エディションによって異なる場合があります。